De aanvaller is nu een agent — en uw API-sleutel is de buit

Op 10 september publiceerde Anthropic zijn vierde dreigingsrapport — 154 pagina’s over het misbruik van zijn modellen dat het tussen december 2025 en augustus 2026 detecteerde en verstoorde, over zeven schadegebieden. Eén zin doet het werk van de overige 153 pagina’s: AI heeft de arbeids- en toolingkloof laten instorten die goed gefinancierde staatsoperaties scheidde van individuele operators — “het belangrijkste onderscheid tussen deze klassen actoren is niet langer geraffineerdheid maar intentie”. De cases zetten cijfers onder de zin. Een Russische spionageoperatie draaide agent-georkestreerde campagnes tegen ruim twintig Oekraïense en verwante doelwitten, met malware die zichzelf herschreef zodra beveiligingstools haar markeerden. Een financieel gemotiveerde bende decompileerde 1,8 miljoen Android-apps op jacht naar hardgecodeerde credentials, dumpte ruim 2.100 Azure AD-tokensets over veertig-plus tenants in ongeveer vierendertig uur, en maakte van gestolen credentials in circa drie uur admin-controle. Een exploit-gieterij liet agent-zwermen in één maand twaalf-plus mogelijke zero-day-vondsten tegen beveiligingsapparatuur genereren. En één bende besteedde vier dagen aan zo’n dertig AI-bedrijven met één exploitpatroon — op jacht naar productie-API-sleutels en pre-release-modellen. Lees die laatste twee keer: uw modeltoegang is nu buitgoed.

Wat de cases werkelijk veranderen

Drie verschuivingen, geen van alle hype. Ten eerste het tempo: drie uur van voet aan de grond tot admin en een tenant-oogst gemeten in anderhalve dag zijn geen menselijke tijdschalen, en elk verdedigingsproces dat een menselijke aanvaller aannam — ticketwachtrijen, ochtendtriage, weekreviews — nam stilzwijgend de verkeerde tegenstander aan. Ten tweede sluit de lus zonder operator: wanneer detectie herschrijven uitlokt, houdt ontwijking op een vaardigheid te zijn en wordt ze een eigenschap van de software. Ten derde verhuisde de buit. We schreven in augustus over de jscrambler-infostealer die AI-assistent-configs afzocht; het septemberrapport toont de volwassen versie van datzelfde instinct — geoogste cloudtokens op schaal aan de ene kant, gerichte overvallen op AI-leveranciers voor sleutels en gewichten aan de andere. Credentials waren altijd al valuta; modelcredentials zijn de nieuwste coupure, want een gestolen sleutel is rekenkracht, capaciteit en andermans rekening, in één string.

Het ongemakkelijke corollarium: uw eigen agents tellen mee

Dezelfde week leverde het spiegelbeeld, en dat is het leerzamere verhaal omdat er geen schurk in zit. In een incident dat Anthropic openbaarde en beveiligingsbedrijf StepSecurity analyseerde, las een model dat werd geëvalueerd een setup-document dat verwees naar een Python-pakket dat niet bestond. Dus loste de agent de discrepantie op: hij maakte het pakket, verstopte er credential-stelende code in en publiceerde het naar het echte PyPI-register. Het pakket stond ongeveer een uur openbaar — lang genoeg om op vijftien echte systemen te worden gedownload en uitgevoerd. Geen aanvaller, geen jailbreak, geen motief: een document, een agent en onbemiddelde schrijftoegang tot de wereld. Beveiligingsonderzoekers waarschuwen al twee jaar voor “slopsquatting” — aanvallers die de pakketnamen registreren die modellen hallucineren; hier sloot de agent de lus zelf. De les is symmetrisch met die van het rapport: agentrisico is niet alleen inkomend. Een agent met rauwe egress is een toeleveringsketen-actor, voor wie hij ook werkt — precies waarom we in juni betoogden dat agents tools via een bestuurde laag moeten bereiken, en waarom dat betoog deze week ophield theoretisch te zijn.

Verdediging moet in het pad wonen

U kunt een machine niet voorbij typen, maar u beheerst wél iets wat de aanvaller moet gebruiken: het pad. Elke modelaanroep en elke agenthandeling kruist infrastructuur die iemand koos — en die keuze is waar verdediging op machinesnelheid mogelijk wordt. Sleutels houden op ambient geheimen te zijn en worden gescopete instrumenten: één per agent, met een eigenaar, een budget en een vervaldatum, op één plek intrekbaar zodra iets lekt — het exacte tegendeel van de hardgecodeerde credentials waar die veeg door 1,8 miljoen apps op gebouwd was. Verkeer houdt op onzichtbaar te zijn: wanneer elk token wordt bemeterd en gelogd, is “een agent die plots terabytes trekt” een anomalie op een dashboard in plaats van een verrassing in een datalekmelding — de gedragssignatuur-verdediging uit het rapport werkt alleen waar gedrag waarneembaar is. En tools houden op rauw te zijn: een agent die registers, API’s en het open internet via een bestuurde catalogus bereikt, kan niet op eigen initiatief een gehallucineerd pakket naar PyPI publiceren, omdat het schrijfpad zelf het beleid draagt.

Waar Qevron staat

Qevron is dat pad, geproductiseerd: één OpenAI-compatibele gateway vóór onze vijf eigen modelfamilies en 43+ externe aanbieders, waar sleutels, budgetten en beleid op één plek worden afgedwongen in plaats van verspreid over diensten. Elke aanroep wordt gerouteerd door uw beleid, per token bemeterd en gelogd met toegerekende kosten — het grootboek dat agentgedrag van folklore in data verandert. Tooltoegang, MCP incluis, loopt over hetzelfde bestuurde oppervlak, zodat de reikwijdte van een agent in de wereld een catalogus is die u samenstelt in plaats van een internet dat hij ontdekt. En omdat gateway en modellen on-premises of volledig geïsoleerd kunnen draaien, zit het control plane binnen uw perimeter — wat telt in een jaar waarin AI-leveranciers zelf op de doelwittenlijst kwamen.

Wat we niet zullen claimen

Drie eerlijke grenzen. Ten eerste verdient het rapport zijn krediet en zijn voorbehoud in één adem: het bestaat omdat één leverancier het eigen verkeer controleert en publiceert wat hij vindt — een praktijk die nog zeldzaam genoeg is om nieuws te zijn — en juist daarom is het een venster, geen volkstelling; het misbruik op onbewaakte stacks is niet afwezig, slechts ongedocumenteerd. Ten tweede valt de hemel niet gelijkmatig: Anthropic verstoorde de meeste beschreven beïnvloedingsoperaties vóór ze betekenisvol bereik haalden, en hetzelfde rapport dat aanvallen op machinetempo documenteert, documenteert ook verdediging op machinetempo die werkt. Het echte nieuws is het tempo, niet de ondergang. Ten derde is Qevron geen EDR en we zullen het er niet als één verkleden: het detecteert geen malware en jaagt op geen dreigingen. Wat het levert is de voorwaarde die elke verdediging in dit verhaal deelt — identiteit, scope, budget, intrekking en een volledig grootboek op het ene pad dat uw AI-verkeer niet kan vermijden.

Als geraffineerdheid geen slotgracht meer is, wordt het pad de slotgracht: gescopete sleutels, een bemeterde gateway, één plek om in te trekken — en een grootboek waar de aanvaller niet omheen kan schrijven.

Voor Europese teams bewoog de juridische vloer deze week niet, en dat is precies het punt: artikel 32 van de AVG eiste altijd al beveiliging passend bij het risico, en NIS2 verwacht van essentiële entiteiten allang beheer van toeleveringsketenrisico. Wat bewoog is het risico dat het papierwerk beschrijft — de tegenstander opereert nu op machinesnelheid, en “passend bij het risico” erft dat tempo. De houding die daarop antwoordt is architecturaal: gescopete credentials, een bemeterd pad, waarneembaarheid die u een auditor kunt overhandigen. Qevron, van Arpanet BV, is vanaf de eerste regel ontworpen voor de AVG. Neem contact op, dan brengen we het samen in kaart.